Bundesverwaltungsgericht W108 2250843-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 19.07.2023
• ECLI: ECLI:AT:BVWG:2023:W108.2250843.1.00

Spruch

W108 2250843-1/15Z

BESCHLUSS

Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Mag. SANJATH und den fachkundigen Laienrichter Mag. SCHACHNER als Beisitzerin und Beisitzer im Verfahren über die Beschwerde des XXXX , vertreten durch STÖGERER PREISINGER Rechtsanwälte OG, gegen den Bescheid der Datenschutzbehörde vom 29.11.2021, Zl. D124.4291 2021-0.823.149, betreffend eine Datenschutzbeschwerde (Mitbeteiligte: Staatsanwaltschaft XXXX ) beschlossen:

Gemäß Art. 140 Abs. 1 Z 1 lit. a iVm Art. 135 Abs. 4 iVm Art. 89 Abs. 2 B-VG wird an den Verfassungsgerichtshof der ANTRAG gestellt, er wolle als verfassungswidrig aufheben:

§ 31 Abs. 1 erster Satz, § 32 Abs. 1 Z 4 sowie § 36 Abs. 2 Z 15 Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017,

in eventu

§§ 31 bis 33, § 34 Abs. 3 bis 5, § 36 Abs. 2 Z 15, § 42 Abs. 8 und 9, § 44 Abs. 1 Z 6, Abs. 3 letzter Satz und Abs. 4 letzter Satz, § 45 Abs. 4 letzter Satz, § 50 Abs. 5, § 51, § 53, die Wortfolge „an die Datenschutzbehörde“ in der Überschrift zu § 55, § 55 Abs. 1, die Wortfolge „und der Datenschutzbehörde mitzuteilen“ in § 57 Abs. 4, § 59 Abs. 4 und die Wortfolge „und die Dokumentation einschließlich Datum und Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, Begründung der Übermittlung und übermittelte personenbezogenen Daten, der Datenschutzbehörde auf Anforderung zur Verfügung zu stellen“ in § 59 Abs. 5 Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017 bzw. (hinsichtlich § 32 Abs. 1 Z 1) BGBl. I Nr. 24/2018.

Begründung

Begründung:

I. Verfahrensgang und Sachverhalt:

1. Der Beschwerdeführer steht als Justizwachebeamter der Justizanstalt XXXX in einem öffentlich-rechtlichen Dienstverhältnis zur Republik Österreich (Bundesministerium für Justiz).

Am 28.03.2021 verletzte der Strafgefangene XXXX im Zuge einer gegen ihn geführten Amtshandlung, konkret seiner Überstellung von der Außendienststelle XXXX in die Justizanstalt XXXX , Justizwachebeamte, u.a. den Beschwerdeführer und die Justizwachebeamtin XXXX , durch einen tätlichen Angriff am Körper.

Der Beschwerdeführer war aufgrund der erlittenen Verletzungen vom 30.03.2021 bis inklusive 11.04.2021, sohin für insgesamt 13 Tage, vorfallkausal dienstunfähig. Die Republik Österreich als Dienstgeberin hatte dem Beschwerdeführer für diese Dauer der Dienstunfähigkeit die Bruttobezüge weiterzuzahlen, ohne dass dessen Dienstleistung zur Verfügung stand.

Aufgrund des Vorfalls vom 28.03.2021 erstattete die Justizanstalt XXXX am 08.04.2021 Strafanzeige gegen den Strafgefangenen. Dieser angeschlossen waren unter anderem die Verletzungsanzeige der XXXX , welche personenbezogene Daten des Beschwerdeführers in Form seines Namens, seiner Fall- und Sozialversicherungsnummer, seines Geburtsdatums, seiner privaten Wohnanschrift, seiner privaten Telefonnummer sowie der für die rechtliche Beurteilung notwendigen ärztlichen Diagnose enthielt. Darüber hinaus erstattete der Beschwerdeführer am 19.05.2021 Anzeige wegen gefährlicher Drohung gemäß § 107 StGB gegen den Strafgefangenen.

Das Ermittlungsverfahren gegen den Strafgefangenen wegen des Vorwurfs des Widerstandes gegen die Staatsgewalt und der nach § 84 Abs. 2 StGB qualifizierten Körperverletzung wurde von der Mitbeteiligten unter der AZ 15 St 45/21g geführt.

Die Republik Österreich, vertreten durch die Finanzprokuratur, schloss sich mit Schriftsatz vom 26.04.2021, welcher am selben Tag bei der mitbeteiligten Partei zum Akt 15 St 45/21g einlangte, dem Strafverfahren als Privatbeteiligte an. Dem Schriftsatz beigeschlossen waren Auszüge aus den Lohnkonten, jeweils eine Berechnung des Lohnfortzahlungsschadens, Unfallmeldungen und Krankenstandsbestätigungen der betroffenen Justizwachebeamten. Die Unterlagen enthielten folgende (personenbezogenen) Daten des Beschwerdeführers: seinen vollständigen Namen, die Anschrift seiner privaten Wohnadresse, die verletzungsbedingten Krankenstandstage, die Aufzählung der Verletzungen, sein Jahreslohnkonto 2021 bei der Justiz, seine private Handynummer, sein Geburtsdatum, seinen Jahreslohnzettel mit Grundbezug und Auflistung sämtlicher Zulagen, seine Personalnummer und seinen Dienstgrad bei der Justizwache, sein Eintrittsdatum in die Justiz, seine Sozialversicherungsnummer, seine Krankenstandsdaten, seinen derzeitigen Familienstand sowie die Namen, die Adresse, die Geburtsdaten und Sozialversicherungsnummern seiner minderjährigen Kinder.

Sowohl die Strafanzeige der Justizanstalt XXXX als auch die Anschlusserklärung der Privatbeteiligten mit den jeweils angeschlossenen Beilagen wurden in der Verfahrensautomation Justiz (VJ) elektronisch erfasst und in physischer Form zum Ermittlungsakt genommen.

Am 20.05.2021 wurde die fallbefasste Staatsanwältin von der Justizanstalt XXXX davon in Kenntnis gesetzt, dass der Strafgefangene am darauffolgenden Tag aus der Strafhaft entlassen werde. Gleichzeitig wurde um Rückmeldung ersucht, ob über den Strafgefangenen die Untersuchungshaft verhängt werde.

Die Mitbeteiligte beantragte (nach mündlich vom Gericht bewilligter Festnahme des Strafgefangenen) daraufhin beim Einzelrichter des Landesgerichtes XXXX am selben Tag unter gleichzeitiger Übersendung des gesamten (ungeschwärzten) Ermittlungsaktes die schriftliche Bewilligung der vorgelegten Festnahmeanordnung und die Verhängung der Untersuchungshaft über den Strafgefangenen.

Vor Übersendung des Ermittlungsaktes durch die Mitbeteiligte an das Landesgericht XXXX wurden keinerlei Maßnahmen getroffen, personenbezogene Daten des Beschwerdeführers zu schützen.

Nach (antragskonformer) Verhängung der Untersuchungshaft am 21.05.2021 beschloss der Einzelrichter gemäß § 61 Abs. 2 StPO die Beigebung eines Verfahrenshilfeverteidigers und verfügte die Zustellung der StPO-Form VH 2 samt einer vollständigen und ungeschwärzten Aktenkopie an den Verfahrenshilfeverteidiger des Strafgefangenen.

Am 06.06.2021 wurden im Haftraum des Strafgefangenen in der Justizanstalt XXXX Unterlagen, darunter der (mit dem Eingangsstempel der Mitbeteiligten vom 26.04.2021 versehene) Schriftsatz der Finanzprokuratur vom 26.04.2021 über den Privatbeteiligtenanschluss, der die oben genannten personenbezogenen Daten des Beschwerdeführers enthielt, sichergestellt.

2. In der Folge brachte der Beschwerdeführer am 12.06.2021 gegen die Mitbeteiligte eine Beschwerde (Datenschutzbeschwerde) gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) bzw. § 24 Datenschutzgesetz (DSG) bei der Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) wegen Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG ein. Dazu wurde zusammengefasst vorgebracht, die Mitbeteiligte habe bei der Verarbeitung seiner personenbezogenen Daten gegen das Grundrecht auf Geheimhaltung verstoßen, da sie ohne sein Wissen und ohne seine Zustimmung in ungerechtfertigter Weise personenbezogene, hochsensible Daten, u.a. seiner Kinder, und Unterlagen an den Strafgefangenen der Justizanstalt XXXX weitergegeben habe. Der Beschwerdeführer beantragte, dass die belangte Behörde die Verletzung seiner Rechte feststelle.

3. Mit dem beim Bundesverwaltungsgericht angefochtenen Bescheid vom 29.11.2021, Zl. D124.4291 2021-0.823.149, wies die belangte Behörde die Datenschutzbeschwerde des Beschwerdeführers als unbegründet ab. In ihrer Begründung führte die belangte Behörde im Kern aus, die Mitbeteiligte selbst habe – außer an das Gericht – keine personenbezogenen Daten des Beschwerdeführers und Akteninhalte an den betreffenden Strafgefangenen oder eine dritte Person weitergegeben. Es liege daher keine Verletzung des Beschwerdeführers durch die Mitbeteiligte in seinem Recht auf Geheimhaltung gemäß § 1 DSG vor.

Zu ihrer Zuständigkeit führte die belangte Behörde aus:

„Nach § 31 Abs. 1 DSG wird – in Umsetzung von Art. 41 Abs. 1 und Art. 45 Abs. 2 DSRL-PJ – die Datenschutzbehörde als nationale Aufsichtsbehörde für den in § 36 Abs. 1 leg. cit. genannten Anwendungsbereich eingerichtet, wobei sie für die Aufsicht über von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen nicht zuständig ist.

Staatsanwälte sind zwar Organe der ordentlichen Gerichtsbarkeit, aber als solche an Weisungen der ihnen vorgesetzten Organe – und letztlich an Weisungen eines obersten Organs – gebunden (Art. 90a B-VG). Sie arbeiten zwar selbstständig und in eigener Verantwortung, dies aber im Rahmen der Weisungen ihrer Vorgesetzten (§ 173 RStDG). Nach § 2 Abs. 1 StAG sind Staatsanwaltschaften den Oberstaatsanwaltschaften und diese sowie die Generalprokuratur dem Bundesminister für Justiz unmittelbar untergeordnet und weisungsgebunden.

Staatsanwaltschaften sind – trotz ihrer organisatorischen Zuordnung zur Staatsfunktion Gerichtsbarkeit nach Art. 90a B-VG – folglich weder als Gericht (siehe dazu auch VfSlg. 19.350/2011 sowie VfSlg. 19.952/2015) noch als unabhängige Justizbehörde iSd Art. 45 Abs. 2 DSRL-PJ (vgl. etwa Bresich/Dopplinger/Dörhöfer/Kunnert/Riedl, DSG, § 31, Rz. 4; siehe auch Schmidl in Gantschacher/Jelinek/Schmidl/Spanberger, Kommentar zum Datenschutzgesetz, § 31 Anm. 3 mwN auf einschlägige Literatur) anzusehen.

Der EuGH hat sich jüngst in seinem Urteil vom 27. Mai 2019 in den verbundenen Rechtssachen C-508/18 und C-82/19 PPU mit dem Erfordernis der Unabhängigkeit einer (deutschen) Staatsanwaltschaft in Zusammenhang mit der Ausstellung eines europäischen Haftbefehls und ihrer dementsprechenden Qualifikation als ausstellende Justizbehörde im Sinne des Art. 6 Abs. 1 des Rahmenbeschlusses 2002/584/JI des Rates vom 13. 6. 2002 über den Europäischen Haftbefehl (RB EHB) auseinandergesetzt. Der EuGH legt eindeutig fest, dass bereits die im innerstaatlichen Recht verankerte Möglichkeit externer Einflussnahme auf eine Entscheidung der Staatsanwaltschaft die Gewähr für deren unabhängiges Handeln und damit für deren Qualifikation als (unabhängige) Justizbehörde im Sinne des Art. 6 Abs. 2 des RB-EHB ausschließt. Der EGMR vertritt diese Rechtsauffassung in ständiger Rechtsprechung (Urteil vom 26.4.2007, Dumitru Popescu/Rumänien, Nr. 71525/01, Rn 71, in welchem wiederum auf das Urteil vom 3.6.2003, Pantea/Rumänien, Nr. 33343/96, Rn 238 und 239, verwiesen wird).

Aus Art. 90a B-VG iVm § 2 Abs. 1 StAG geht hervor, dass die österreichischen Staatsanwaltschaften bei der Wahrnehmung ihrer Aufgaben den Oberstaatsanwaltschaften und diese wiederum dem Bundesminister für Verfassung, Reformen, Deregulierung und Justiz unmittelbar untergeordnet und weisungsgebunden sind. Diese Weisungsgebundenheit spricht gegen eine Qualifikation als „unabhängige Justizbehörde“.

Die Datenschutzbehörde ist daher für die Aufsicht über die im Rahmen der staatsanwaltschaftlichen Tätigkeit vorgenommenen Verarbeitungen personenbezogener Daten zuständig (siehe dazu auch das Erkenntnis des Bundesverwaltungsgerichts vom 12. April 2019, GZ W101 2187447-1).“

4. Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG (Bescheidbeschwerde), in der vorgebracht wurde, dass die ins Treffen geführten Datenschutzverletzungen entgegen der Ansicht der belangten Behörde durch die Mitbeteiligte erfolgt seien. Diese habe insbesondere den Schriftsatz der Finanzprokuratur vom 26.04.2021 über den Privatbeteiligtenanschluss mit sämtlichen gegenständlichen personenbezogenen Daten des Beschwerdeführers ungeschwärzt an den Einzelrichter des Landesgerichtes XXXX übermittelt, die Beschränkung der Akteneinsicht im Ermittlungsverfahren hätte bereits durch die Mitbeteiligte erfolgen müssen.

5. Die Datenschutzbehörde sah von der Möglichkeit einer Beschwerdevorentscheidung ab und legte die Beschwerde mit den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor. Hierbei gab sie eine Stellungnahme zur Bescheidbeschwerde ab, in der sie ihre Entscheidung verteidigte und ausführte, die Entscheidung, ob der Akteninhalt in eingeschränkter Form zu übermitteln sei oder nicht, sei dem Haftrichter oblegen gewesen.

6. Das Bundesverwaltungsgericht übermittelte der Mitbeteiligten die Bescheidbeschwerde samt der Stellungnahme der belangten Behörde im Wege der Beschwerdemitteilung gemäß § 10 VwGVG zur Kenntnis- und Stellungnahme.

7. Die Mitbeteiligte erstattete am 06.04.2022 eine Stellungnahme, in welcher sie ihre Ausführungen aus dem verwaltungsbehördlichen Verfahren wiederholte und zusammenfasste, die Mitbeteiligte habe zu keinem Zeitpunkt Akteneinsicht gewährt oder Kopien zur Verfügung gestellt. Wohl aber habe der Einzelrichter des Landesgerichtes XXXX die Übermittlung einer vollständigen Aktenkopie an den Verteidiger angeordnet.

8. Der Beschwerdeführer äußerte sich zur Stellungnahme der Mitbeteiligten und der belangten Behörde mit Schriftsatz vom 12.05.2022 zusammengefasst dahin, dass die Datenschutzverletzung die Mitbeteiligte zu verantworten habe.

II. Antrag des Verwaltungsgerichtshofes:

1. Der Verwaltungsgerichtshof fasste, da er Bedenken hinsichtlich der Verfassungskonformität der Zuständigkeit der belangten Behörde für die datenschutzrechtliche Aufsicht der Staatsanwaltschaften hat, am 09.05.2023 zur Zahl A 2023/0008-1 (Ra 2022/04/0167) folgenden Beschluss:

„Gemäß Art. 140 Abs. 1 Z 1 lit. a in Verbindung mit Art. 135 Abs. 4 und Art. 89 Abs. 2 B-VG wird an den Verfassungsgerichtshof der Antrag gestellt,

§ 31 Abs. 1 erster Satz, § 32 Abs. 1 Z 4 sowie § 36 Abs. 2 Z 15 Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017,

in eventu

die §§ 31 bis 33, § 34 Abs. 3 bis 5, § 36 Abs. 2 Z 15, § 42 Abs. 8 und 9, § 44 Abs. 1 Z 6, Abs. 3 letzter Satz und Abs. 4 letzter Satz, § 45 Abs. 4 letzter Satz, § 50 Abs. 5, § 51, § 53, die Wortfolge „an die Datenschutzbehörde“ in der Überschrift zu § 55, § 55 Abs. 1, die Wortfolge „und der Datenschutzbehörde mitzuteilen“ in § 57 Abs. 4, § 59 Abs. 4 und die Wortfolge „und die Dokumentation einschließlich Datum und Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, Begründung der Übermittlung und übermittelte personenbezogenen Daten, der Datenschutzbehörde auf Anforderung zur Verfügung zu stellen“ in § 59 Abs. 5 Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017 bzw. (hinsichtlich § 32 Abs. 1 Z 1) BGBl. I Nr. 24/2018,

als verfassungswidrig aufzuheben.“

2. Das Bundesverwaltungsgericht schließt sich den tragenden Erwägungen des Verwaltungsgerichtshofes im genannten Beschluss, der in einem gleichgelagerten Fall (das Revisionsverfahren zur Zahl Ra 2022/04/0167 betrifft die Datenschutzbeschwerde der Justizwachebeamtin XXXX [siehe oben Punkt I.1.] gegen die Mitbeteiligte aufgrund der – wie im vorliegenden Fall – Sicherstellung von Unterlagen mit personenbezogenen Daten am 06.06.2021 im Haftraum des Strafgefangenen) erging, an und geht davon aus, dass die dort angestellten Überlegungen auf den vorliegenden Fall übertragen werden können.

III. Rechtslage:

1.1. Die maßgeblichen Bestimmungen des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017 bzw. (hinsichtlich § 32 Abs. 1 Z 1 und § 36 Abs. 1) BGBl. I Nr. 24/2018, lauten auszugsweise (die mit dem Hauptantrag angefochtenen Bestimmungen sind unterstrichen):

„Einrichtung

§ 18. (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet.

[...]

4. Abschnitt

Aufsichtsbehörde nach der Richtlinie (EU) 2016/680

Datenschutzbehörde

§ 31. (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde für den in § 36 Abs. 1 genannten Anwendungsbereich eingerichtet. Die Datenschutzbehörde ist nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.

(2) Hinsichtlich der Unabhängigkeit, der allgemeinen Bedingungen und der Errichtung der Aufsichtsbehörde finden die Art. 52, 53 und 54 DSGVO sowie der § 18 Abs. 2, §§ 19 und 20 sinngemäß Anwendung.

Aufgaben der Datenschutzbehörde

§ 32. (1) Die Datenschutzbehörde hat im Anwendungsbereich des § 36 Abs. 1

1. die Anwendung des § 1 und der im 3. Hauptstück erlassenen Vorschriften sowie der Durchführungsvorschriften zur Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. Nr. L 119 vom 4.5.2016 S. 89, zu überwachen und durchzusetzen;

2. die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung zu sensibilisieren und sie darüber aufzuklären;

3. die in Art. 57 Abs. 1 lit. c bis e, g, h und t DSGVO festgelegten Aufgaben im Hinblick auf das 3. Hauptstück zu erfüllen;

4. sich mit Beschwerden einer betroffenen Person oder einer Stelle, einer Organisation oder einer Vereinigung gemäß § 28 zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer Frist von drei Monaten über den Fortgang und das Ergebnis der Untersuchung zu unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;

5. die Rechtmäßigkeit der Verarbeitung gemäß § 42 Abs. 8 zu überprüfen und die betroffene Person innerhalb einer angemessenen Frist über das Ergebnis der Überprüfung gemäß § 42 Abs. 9 zu unterrichten oder ihr die Gründe mitzuteilen, aus denen die Überprüfung nicht vorgenommen wurde;

6. maßgebliche Entwicklungen zu verfolgen, soweit sie sich auf den Schutz personenbezogener Daten auswirken, insbesondere die Entwicklung der Informations- und Kommunikationstechnologie,

7. Beratung in Bezug auf die in § 53 genannten Verarbeitungsvorgänge zu leisten, und

8. die Rechte der betroffenen Person in den Fällen der §§ 43 Abs. 4, 44 Abs. 3 und 45 Abs. 4 auszuüben.

(2) Die Datenschutzbehörde erleichtert das Einreichen von in Abs. 1 Z 4 genannten Beschwerden durch Maßnahmen wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.

(3) Art. 57 Abs. 3 und 4 DSGVO finden sinngemäß Anwendung.

Befugnisse der Datenschutzbehörde

§ 33. (1) Die Datenschutzbehörde verfügt im Anwendungsbereich des § 36 Abs. 1 über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Untersuchungsbefugnisse. Diese umfassen insbesondere die in § 22 Abs. 2 genannten Befugnisse.

(2) Die Datenschutzbehörde verfügt im Anwendungsbereich des § 36 Abs. 1 über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Abhilfebefugnisse. Dazu zählen jedenfalls die Befugnisse, die es ihr gestatten

1. einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften verstoßen;

2. den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge, auf bestimmte Weise und innerhalb eines bestimmten Zeitraums, mit den im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften in Einklang zu bringen, insbesondere durch die Anordnung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung gemäß § 45;

3. eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen.

(3) Die Datenschutzbehörde verfügt im Anwendungsbereich des § 36 Abs. 1 über die zur Vollziehung erforderlichen wirksamen Beratungsbefugnisse, die es ihr gestatten, gemäß dem Verfahren der vorherigen Konsultation nach § 53 den Verantwortlichen zu beraten und zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Antrag Stellungnahmen an den Nationalrat oder den Bundesrat, die Bundes- oder Landesregierung oder an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten.

(4) Die Ausübung der der Aufsichtsbehörde übertragenen Befugnisse richtet sich im Anwendungsbereich § 36 Abs. 1 sinngemäß nach Art. 58 Abs. 4 DSGVO.

(5) § 22 Abs. 3 2. Satz gilt sinngemäß für Verstöße im Anwendungsbereich des § 36 Abs. 1.

Allgemeine Bestimmungen

§ 34. [...]

(3) Die Datenschutzbehörde hat im Rahmen des Tätigkeitsberichtes nach § 23 über die Tätigkeiten nach dem 4. und 5. Abschnitt zu berichten. Die Vorgaben des Art. 59 DSGVO und § 23 für den Tätigkeitsbericht und die Veröffentlichung von Entscheidungen finden sinngemäß Anwendung.

(4) Auf die gegenseitige Amtshilfe im Anwendungsbereich des § 36 Abs. 1 findet Art. 61 Abs. 1 bis 7 DSGVO sinngemäß Anwendung.

(5) Im Anwendungsbereich des § 36 Abs. 1 finden die Regelungen des 3. Abschnitts des 2. Hauptstücks - mit Ausnahme des § 30 - sinngemäß Anwendung.

[...]

3. Hauptstück

Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs

1. Abschnitt

Allgemeine Bestimmungen

Anwendungsbereich und Begriffsbestimmungen

§ 36. (1) Die Bestimmungen dieses Hauptstücks gelten für die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung.

(2) Im Sinne dieses Hauptstücks bezeichnet der Ausdruck:

[...]

15. ‚Aufsichtsbehörde‘ ist die Datenschutzbehörde;

[...]

Grundsätze

§ 42. [...]

(8) In den Fällen der §§ 43 Abs. 4, 44 Abs. 3 und 45 Abs. 4 ist die betroffene Person berechtigt, eine Überprüfung der Rechtmäßigkeit der bezüglichen Einschränkung ihrer Rechte durch die Datenschutzbehörde zu verlangen. Der Verantwortliche hat die betroffene Person über dieses Recht zu unterrichten.

(9) Wird das in Abs. 8 genannte Recht ausgeübt, hat die Datenschutzbehörde die betroffene Person zumindest darüber zu unterrichten, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Datenschutzbehörde erfolgt sind. Die Datenschutzbehörde hat zudem die betroffene Person über ihr Recht zu unterrichten, Beschwerde an das Bundesverwaltungsgericht zu erheben.

[...]

Auskunftsrecht der betroffenen Person

§ 44. (1) Jede betroffene Person hat das Recht, vom Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über personenbezogene Daten und zu folgenden Informationen zu erhalten:

[...]

6. das Bestehen eines Beschwerderechts bei der Datenschutzbehörde sowie deren Kontaktdaten und

[...]

(3) Im Falle einer Nichterteilung der Auskunft gemäß Abs. 2 hat der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür zu unterrichten. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in § 43 Abs. 4 genannten Zwecke zuwiderliefe. Der Verantwortliche hat die betroffene Person über die Möglichkeit zu unterrichten, Beschwerde bei der Datenschutzbehörde einzulegen.

(4) Der Verantwortliche hat die Gründe für die Entscheidung über die Nichterteilung der Auskunft gemäß Abs. 2 zu dokumentieren. Diese Angaben sind der Datenschutzbehörde zur Verfügung zu stellen.

[...]

Recht auf Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung

§ 45. [...]

(4) Der Verantwortliche hat die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder eine Einschränkung der Verarbeitung und über die Gründe für die Verweigerung zu unterrichten. Der Verantwortliche hat die betroffene Person über die Möglichkeit zu unterrichten, bei der Datenschutzbehörde Beschwerde einzulegen.

[...]

Protokollierung

§ 50. [...]

(5) Der Verantwortliche und der Auftragsverarbeiter haben der Datenschutzbehörde auf deren Verlangen die Protokolle zur Verfügung zu stellen.

Zusammenarbeit mit der Datenschutzbehörde

§ 51. Der Verantwortliche und der Auftragsverarbeiter sind verpflichtet, über Aufforderung mit der Datenschutzbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

[...]

Vorherige Konsultation der Datenschutzbehörde

§ 53. Der Verantwortliche hat nach Maßgabe des Art. 36 DSGVO vor der Verarbeitung personenbezogener Daten in neu anzulegenden Dateisystemen die Datenschutzbehörde zu konsultieren, wobei sich die Verweise in Art. 36 Abs. 1 und Abs. 3 lit. e DSGVO auf § 52 und der Verweis auf die Bestimmungen hinsichtlich der Befugnisse der Datenschutzbehörde in Art. 36 Abs. 2 DSGVO auf § 33 beziehen und die in Art. 36 Abs. 2 DSGVO angeführten Maßnahmen innerhalb von sechs Wochen mit der Möglichkeit einer Verlängerung um einen weiteren Monat zu treffen sind.

[...]

Meldung von Verletzungen an die Datenschutzbehörde

§ 55. (1) Der Verantwortliche hat nach Maßgabe des Art. 33 DSGVO Verletzungen des Schutzes personenbezogener Daten der Datenschutzbehörde zu melden.

[...]

Benennung, Stellung und Aufgaben des Datenschutzbeauftragten

§ 57. [...]

(4) Der Verantwortliche hat die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Datenschutzbehörde mitzuteilen.

[...]

Datenübermittlung an Drittländer oder internationale Organisationen

§ 59. [...]

(4) Bestehen geeignete Garantien gemäß Abs. 3 Z 2 für Kategorien von Übermittlungen, so hat der Verantwortliche die Datenschutzbehörde über diese Kategorien zu unterrichten.

(5) Übermittlungen gemäß Abs. 3 Z 2 sind zu dokumentieren und die Dokumentation einschließlich Datum und Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, Begründung der Übermittlung und übermittelte personenbezogenen Daten, der Datenschutzbehörde auf Anforderung zur Verfügung zu stellen.

[...]“

1.2. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lauten auszugsweise:

„Artikel 2

Sachlicher Anwendungsbereich

[...]

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

[...]

d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

[...]

Artikel 51

Aufsichtsbehörde

(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden ,Aufsichtsbehörde‘).

[...]

Artikel 55

Zuständigkeit

[...]

(3) Die Aufsichtsbehörden sind nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.

[...]“

1.3. Die maßgeblichen Bestimmungen (samt Erwägungsgründe) der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (im Folgenden: DSRL) lauten auszugsweise:

„(75) Die Einrichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgaben völlig unabhängig erfüllen können, ist ein wesentlicher Bestandteil des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Aufsichtsbehörden sollten die Anwendung der nach dieser Richtlinie erlassenen Vorschriften überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. [...]

(76) Die Mitgliedstaaten können einer bereits gemäß der Verordnung (EU) 2016/679 errichteten Aufsichtsbehörde die Verantwortung für die Aufgaben übertragen, die von den nach dieser Richtlinie einzurichtenden nationalen Aufsichtsbehörden auszuführen sind.

(77) Die Mitgliedstaaten sollten mehr als eine Aufsichtsbehörde einrichten können, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht. [...]

(80) Obgleich diese Richtlinie auch für die Tätigkeit der nationalen Gerichte und anderer Justizbehörden gilt, sollte sich die Zuständigkeit der Aufsichtsbehörden nicht auf die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen erstrecken, damit die Unabhängigkeit der Richter bei der Ausübung ihrer richterlichen Aufgaben gewahrt bleibt. Diese Ausnahme sollte allerdings begrenzt werden auf justizielle Tätigkeiten in Gerichtssachen und sich nicht auf andere Tätigkeiten beziehen, mit denen Richter nach dem Recht der Mitgliedstaaten betraut werden können. Die Mitgliedstaaten sollten außerdem vorsehen können, dass sich die Zuständigkeit der Aufsichtsbehörde nicht auf die Überwachung der Verarbeitung personenbezogener Daten erstreckt, die durch andere unabhängige Justizbehörden im Rahmen ihrer justiziellen Tätigkeit, beispielsweise Staatsanwaltschaften, erfolgt. Die Einhaltung der Vorschriften dieser Richtlinie durch die Gerichte und andere unabhängige Justizbehörden unterliegt in jedem Fall stets der unabhängigen Überwachung gemäß Artikel 8 Absatz 3 der Charta.

[...]

Artikel 1

Gegenstand und Ziele

(1) Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

[...]

Artikel 41

Aufsichtsbehörde

(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Richtlinie zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden ‚Aufsichtsbehörde‘).

[...]

(3) Die Mitgliedstaaten können vorsehen, dass die gemäß der Verordnung (EU) 2016/679 in den Mitgliedstaaten errichtete Aufsichtsbehörde die in dieser Richtlinie genannte Aufsichtsbehörde ist und die Verantwortung für die Aufgaben der nach Absatz 1 zu errichtenden Aufsichtsbehörde übernimmt.

[...]

Artikel 45

Zuständigkeit

[...]

(2) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. Die Mitgliedstaaten können vorsehen, dass ihre Aufsichtsbehörde nicht für die Überwachung der von anderen unabhängigen Justizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist.

Artikel 46

Aufgaben

(1) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde in seinem Hoheitsgebiet

[...]

f) sich mit Beschwerden einer betroffenen Person oder einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 55 befasst, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung zu unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;

[...]

Artikel 52

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die nach dieser Richtlinie erlassenen Vorschriften verstößt.

[...]

Artikel 54

Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter

Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 52 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die Rechte, die ihr aufgrund von nach dieser Richtlinie erlassenen Vorschriften zustehen, infolge einer nicht mit diesen Vorschriften im Einklang stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“

1.4. Die Erläuterungen zum DSG (AB 1761 BlgNR 25. GP 11 ff) lauten auszugsweise:

„Zu § 18:

[...] § 18 Abs. 1 legt in diesem Sinne die Datenschutzbehörde als einzige nationale Aufsichtsbehörde gemäß Art. 51 DSGVO fest. [...]

[...]

Zu § 31:

Nach Art. 41 Abs. 1 der Richtlinie (EU) 2016/680 hat jeder Mitgliedstaat vorzusehen, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Richtlinie zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird. Die Mitgliedstaaten können gemäß Art. 41 Abs. 3 der Richtlinie (EU) 2016/680 auch vorsehen, dass die gemäß der DSGVO in den Mitgliedstaaten errichtete Aufsichtsbehörde die in dieser Richtlinie genannte Aufsichtsbehörde ist und die Verantwortung für die Aufgaben der zu errichtenden Aufsichtsbehörde übernimmt. In diesem Sinne soll die Datenschutzbehörde sowohl für den Anwendungsbereich der DSGVO als auch der Richtlinie (EU) 2016/680 die zuständige Aufsichtsbehörde nach Art. 41 Abs. 1 und 3 der Richtlinie (EU) 2016/680 sein. Dies wird durch den Verweis auf § 36 Abs. 1 sichergestellt. [...] Nach Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 sieht jeder Mitgliedstaat vor, dass jede Aufsichtsbehörde nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. Die Mitgliedstaaten können vorsehen, dass ihre Aufsichtsbehörde nicht für die Überwachung der von anderen unabhängigen Justizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. § 31 Abs. 1 setzt diese Vorgaben des Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 um.

[...]

Zu § 36:

Das 3. Hauptstück des DSG regelt die Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs. Mit den in diesem Hauptstück enthaltenen Bestimmungen werden die Kapitel I bis V der Richtlinie (EU) 2016/680 umgesetzt, wobei zur Vermeidung von Wiederholungen und zur Gewährleistungen eines einheitlichen Schutzniveaus soweit wie möglich an die Bestimmungen der DSGVO angeknüpft wird. Die Kapitel VI (Unabhängige Aufsichtsbehörden), VII (Zusammenarbeit) und VIII (Rechtsbehelfe, Haftung und Sanktionen) werden im 2. Hauptstück mitumgesetzt. [...] Die einschlägigen materienspezifischen Regelungen zu Datenverarbeitungen (leges speciales) gehen den allgemeinen Regelungen des 3. Hauptstücks vor. So sind etwa Regelungen in der StPO über Akteneinsicht oder Verständigungspflichten als leges speciales zum 3. Hauptstück zu beurteilen. Ebenso sind die Bestimmungen über die Aufgaben der Datenschutzbehörde nach § 32 - zumindest in den Fällen der Z 4, 5 und 8 - im Bereich der StPO nicht anwendbar, stattdessen stehen die entsprechenden Rechtsbehelfe der StPO, die im Übrigen eine Befassung der Gerichte vorsehen, zur Verfügung.

[...]“

1.5. Die §§ 85 und 85a des Gerichtsorganisationsgesetzes (GOG), RGBl. Nr. 217/1896 in der Fassung BGBl. I Nr. 32/2018, lauten auszugsweise:

„§ 85. (1) Wer durch ein Organ, das in Ausübung seiner justiziellen Tätigkeit in Angelegenheiten der Gerichtsbarkeit in bürgerlichen Rechtssachen und der in Senaten zu erledigenden Justizverwaltung handelt, im Grundrecht auf Datenschutz verletzt wurde, kann dem Bund gegenüber die Feststellung dieser Verletzung begehren.

[...]

Datenschutz in Angelegenheiten der Strafgerichtsbarkeit

§ 85a. (1) Für die Verarbeitung personenbezogener Daten in Angelegenheiten der Strafgerichtsbarkeit finden die Bestimmungen der Strafprozessordnung 1975 - StPO, BGBl. Nr. 631/1975, Anwendung.

(2) § 85 gilt sinngemäß. Zur Entscheidung über eine Beschwerde in Strafsachen ist das Oberlandesgericht zuständig, betrifft die Beschwerde eine Verletzung durch ein Organ des Obersten Gerichtshofs, dieser. Das Verfahren richtet sich nach den Bestimmungen der StPO, sofern in diesem Bundesgesetz nichts anderes bestimmt ist.“

1.6. § 34a Staatsanwaltschaftsgesetz (StAG), BGBl. I Nr. 1645/1986 in der Fassung BGBl. I Nr. 32/2018, lautet auszugsweise:

„Register, sonstige Geschäftsbehelfe und elektronischer Rechtsverkehr

§ 34a. [...]

(2a) § 85 GOG gilt sinngemäß. Die Entscheidung über eine Beschwerde obliegt

1. wegen einer Verletzung durch ein Organ der Staatsanwaltschaft dem Einzelrichter des Landesgerichts (§ 31 Abs. 1 StPO),

2. wegen einer Verletzung durch ein Organ der Oberstaatsanwaltschaft dem Oberlandesgericht und

3. wegen einer Verletzung durch ein Organ der Generalprokuratur dem Obersten Gerichtshof.

Das Verfahren richtet sich nach den Bestimmungen der StPO, sofern im Gerichtsorganisationsgesetz - GOG, RGBl. Nr. 217/1896, nichts anderes bestimmt ist.

[...]“

1.7. Die Erläuterungen zum Materien-Datenschutz-Anpassungsgesetz 2018, BGBl. I Nr. 32/2018, mit dem ua. das GOG, das StAG und die Strafprozeßordnung 1975 (StPO) ihre hier maßgeblichen Fassungen erhalten haben, (RV 65 BlgNR 26. GP 144 ff) lauten auszugsweise:

„Zum 8. Hauptstück (Justiz)

Allgemeines

[...]

Weiters sind gemäß Art. 55 Abs. 3 DSGVO die Aufsichtsbehörden (in Österreich: die Datenschutzbehörde) für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen nicht zuständig.

[...]

[...] Des Weiteren soll der bestehende (subsidiäre) Rechtsschutz des GOG auch weiterhin sowohl im gerichtlichen als auch staatsanwaltschaftlichen Bereich bestehen bleiben.

[...]

Zu Z 1 (§ 34a Abs. 2a StAG):

[...]

Da Staatsanwaltschaften aufgrund des Art. 90a B-VG als Organe der Gerichtsbarkeit anzusehen sind, kommt nach Auffassung des Bundesministeriums für Verfassung, Reformen, Deregulierung und Justiz der in seiner geltenden Fassung auf eine Rechtsverletzung durch ein Organ der Gerichtsbarkeit abstellende § 85 GOG auch im staatsanwaltschaftlichen Bereich zur Anwendung [...]. Um den Anwendungsbereich der Bestimmung infolge deren vorgeschlagener Neufassung nicht einzuschränken, soll deren Regelungsgehalt nunmehr auch ausdrücklich in den - schon derzeit umfassten - staatsanwaltschaftlichen Bereich überführt werden.

[...]“

IV. Präjudizialität und Anfechtungsumfang:

1. Dem angefochtenen Bescheid liegt eine Verarbeitung personenbezogener Daten im Anwendungsbereich der DSRL (Datenverarbeitung zum Zweck der Ermittlung, Aufdeckung oder Verfolgung von Straftaten) zugrunde. Die Umsetzung der DSRL erfolgte im 4. Abschnitt des 2. Hauptstückes sowie im 3. Hauptstück des DSG. Nach § 31 Abs. 1 erster Satz DSG wird als nationale Aufsichtsbehörde für den in § 36 Abs. 1 DSG genannten Anwendungsbereich (somit hinsichtlich der Umsetzung der DSRL) die Datenschutzbehörde eingerichtet; dementsprechend benennt auch die Begriffsbestimmung des § 36 Abs. 2 Z 15 DSG als „Aufsichtsbehörde“ die Datenschutzbehörde. Fallbezogen ist die DSB aufgrund einer Datenschutzbeschwerde des Beschwerdeführers tätig geworden und hat daher der Sache nach die Zuständigkeit gemäß § 32 Abs. 1 Z 4 DSG in Anspruch genommen.

2. Das Bundesverwaltungsgericht hat im vorliegenden Beschwerdeverfahren die Frage zu klären, ob die DSB für die Behandlung der Datenschutzbeschwerde des Beschwerdeführers betreffend das Vorbringen der Verletzung im Recht auf Geheimhaltung durch die Verarbeitung personenbezogener Daten durch die Staatsanwaltschaft zuständig war. Im Zuge dieser Beurteilung sind beim Bundesverwaltungsgericht (in Pkt. VI. näher dargestellte) Bedenken hinsichtlich der Verfassungsmäßigkeit einer der Zuständigkeit der DSB entstanden. Für die Beurteilung dieser Frage sind die - die Einrichtung der DSB als Aufsichtsbehörde normierenden - §§ 31 Abs. 1 erster Satz und 36 Abs. 2 Z 15 DSG sowie der - die Zuweisung der hier durchgeführten Aufgabe an die DSB enthaltende - § 32 Abs. 1 Z 4 DSG maßgeblich. Diese (im Hauptantrag genannten) Bestimmungen sind somit präjudiziell und bilden den Sitz der angenommenen Verfassungswidrigkeit.

3. Darüber hinaus enthalten der 4. Abschnitt des 2. Hauptstücks und das 3. Hauptstück des DSG eine Reihe weiterer (im Eventualantrag genannter) Bestimmungen, welche die Einrichtung der DSB als Aufsichtsbehörde näher ausgestalten oder voraussetzen. Es ist nach Ansicht des Verwaltungsgerichtshofes bzw. Bundesverwaltungsgerichtes nicht ausgeschlossen, diese Bestimmungen als mit den (im Hauptantrag angeführten, den Sitz der verfassungsrechtlichen Bedenken bildenden) präjudiziellen Bestimmungen in einem untrennbaren Zusammenhang stehend anzusehen (vgl. grundsätzlich dazu VfGH 30.6.2022, G 39-41/2022, V 98-99/2022, Rn. 33). So ließe sich zum einen argumentieren, dass die an die DSB anknüpfenden Bestimmungen ohne die Norm, mit der die DSB als zuständige Aufsichtsbehörde für den Anwendungsbereich der DSRL eingerichtet wird, inhaltsleer und unverständlich würden. Zum anderen könnte man aber auch die Auffassung vertreten, dass die - die Aufgaben und Befugnisse der DSB normierenden und näher ausgestaltenden - Regelungen (insbesondere in den §§ 32 und 33 DSG) auch ohne die im Hauptantrag angeführten, die Einrichtung der DSB als Aufsichtsbehörde vorsehenden Bestimmungen eine Zuständigkeit der DSB zur Kontrolle der Datenverarbeitungen durch Staatsanwaltschaften begründen würden und daher mit der Aufhebung (nur) der im Hauptantrag angeführten Bestimmungen die angenommene Verfassungswidrigkeit nicht beseitigt wäre. Beide Annahmen lassen es angezeigt erscheinen, diese Bestimmungen in eventu ebenfalls anzufechten, um dem Verfassungsgerichtshof - sollte er die Bedenken des Verwaltungsgerichtshofes bzw. Bundesverwaltungsgerichtes teilen - die Möglichkeit zu geben, darüber zu befinden, auf welche Weise die angenommene Verfassungswidrigkeit beseitigt werden kann.

V. Vorbemerkungen:

1. Bei Zutreffen der Auffassung, eine Zuständigkeit der DSB zur Kontrolle der Datenverarbeitungen durch Staatsanwaltschaften wäre auf Grund der einfachgesetzlichen Rechtslage nicht gegeben, würden sich die vorliegenden verfassungsrechtlichen Bedenken nicht stellen. Der Verwaltungsgerichtshof vertritt im genannten Beschluss vom 09.05.2023 (wie auch die belangte Behörde im angefochtenen Bescheid) allerdings die Auffassung, dass das DSG eine Zuständigkeit der DSB zur Überprüfung der Datenverarbeitungen durch Staatsanwaltschaften normiert:

2. § 31 Abs. 1 zweiter Satz DSG sieht (in Umsetzung von Art. 45 Abs. 2 erster Satz DSRL) vor, dass die DSB für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen nicht zuständig ist. Allerdings handelt es sich bei Staatsanwaltschaften (ungeachtet dessen, dass Staatsanwälte gemäß Art. 90a B-VG Organe der ordentlichen Gerichtsbarkeit sind) nicht um Gerichte (siehe VfGH 9.3.2011, G 52/10, VfSlg. 19350/2011; RV 1618 BlgNR 24. GP 9; dazu, dass Staatsanwaltschaften auch nicht als Gerichte im Sinn der DSGVO anzusehen sind, vgl. König in Knyrim, DatKomm Art. 37 DSGVO Rz. 15 [Stand Februar 2019]).

3. Art. 45 Abs. 2 zweiter Satz DSRL ermöglicht es den Mitgliedstaaten zwar, die Zuständigkeit der Aufsichtsbehörde auch hinsichtlich der Überwachung der „von anderen unabhängigen Justizbehörden“ im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen auszuschließen. Das DSG enthält allerdings keine Regelung, der zufolge die Zuständigkeit der DSB (unter Inanspruchnahme dieser Richtlinienbestimmung) hinsichtlich der Überprüfung von Datenverarbeitungen durch „andere unabhängige Justizbehörden“ ausgeschlossen wäre (vgl. - eine Zuständigkeit der DSB hinsichtlich der Staatsanwaltschaften bejahend - auch Lachmayer in Knyrim, DatKomm § 31 DSG Rz. 6, 13 [Stand Juli 2020]). An diesem Befund vermag auch der Hinweis in den zitierten Erläuterungen, wonach § 31 Abs. 1 DSG die Vorgaben des Art. 45 Abs. 2 der DSRL umsetze, nichts zu ändern. Vielmehr ergibt sich aus dem Inhalt der Bestimmung klar, dass die obligatorische Vorgabe des ersten Satzes des Art. 45 Abs. 2 DSRL in § 31 Abs. 1 zweiter Satz DSG umgesetzt wurde, während die fakultative Möglichkeit des zweiten Satzes des Art. 45 Abs. 2 DSRL im DSG nicht in Anspruch genommen wurde.

4. Für diese Sichtweise spricht auch, dass die Staatsanwälte nach Auffassung des Verwaltungsgerichtshofes nicht als „unabhängige Justizbehörden“ im Sinn des Art. 45 Abs. 2 zweiter Satz DSRL anzusehen sind. Der Begriff der (anderen) unabhängigen Justizbehörden wird in der DSRL nicht näher definiert. Zwar wird in Erwägungsgrund 80 als Beispiel für unabhängige Justizbehörden auf Staatsanwaltschaften verwiesen; daraus ergibt sich nach Ansicht des Verwaltungsgerichtshofes aber nicht, dass Staatsanwaltschaften jedenfalls - und somit ungeachtet ihrer Ausgestaltung auf nationaler Ebene - als unabhängige Justizbehörden anzusehen sind.

5. Im Hinblick auf die Zielsetzung einer einheitlichen Auslegung des Unionsrechts erscheint es sachgerecht, für die Auslegung dieses Begriffes Aussagen des Gerichtshofes der Europäischen Union (EuGH) zur Auslegung desselben Begriffes in anderen Rechtsnormen heranzuziehen. Der EuGH hat sich in seinem Urteil vom 27. Mai 2019, C-508/18, OG, und C-82/19 PPU, PI, mit der Frage befasst, ob Staatsanwaltschaften, die in einem Unterordnungsverhältnis zu einem Organ der Exekutive (konkret dem Justizminister) dieses Mitgliedstaates stehen und dessen Einzelweisungen unterworfen werden können, unter den Begriff der Justizbehörde in Art. 6 Abs. 1 des Rahmenbeschlusses 2002/584/JI über den Europäischen Haftbefehl fallen. Der EuGH hält zwar fest, dass der Begriff Justizbehörde nicht allein auf Richter oder Gerichte beschränkt ist, sondern auch Behörden erfasst, die an der Strafrechtspflege mitwirken; nicht erfasst seien jedoch Ministerien oder Polizeibehörden, die zur Exekutive gehören (Rn. 50). Die Justizbehörde müsse aber Gewähr dafür bieten, dass sie bei der Ausübung ihrer Aufgaben unabhängig handle; das wiederum verlange, dass sie nicht der Gefahr ausgesetzt sei, einer Einzelweisung seitens der Exekutive unterworfen zu werden (Rn. 74). Da der Justizminister in Deutschland über ein externes Weisungsrecht gegenüber den Staatsanwaltschaften verfüge (Rn. 76), könnten diese keine Gewähr für ein unabhängiges Handeln im Rahmen ihrer Aufgabenerfüllung bieten (Rn. 88).

6. Da die (österreichischen) Staatsanwaltschaften ebenfalls weisungsgebunden und (letztlich) dem Bundesminister für Justiz untergeordnet sind (siehe § 2 Abs. 1 StAG) und Art. 45 Abs. 2 zweiter Satz DSRL schon seinem Wortlaut nach nur unabhängige Justizbehörden erfasst, können die dargestellten Ausführungen des EuGH zu den Justizbehörden gemäß Art. 6 Abs. 1 des Rahmenbeschlusses 2002/584/JI auf die hier maßgebliche unionsrechtliche Regelung übertragen werden; die Staatsanwaltschaften sind daher nicht als unabhängige Justizbehörden im Sinn des Art. 45 Abs. 2 zweiter Satz DSRL anzusehen (vgl. dazu auch Zavadil in Knyrim, DatKomm Art 55 DSGVO Rz. 16 [Stand März 2021]; Thiele/Wagner, DSG2 [2022] § 31 DSG Rz. 3, 13; Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG [2018] § 31 Rz. 4; Dörnhöfer, Datenschutz im Strafverfolgungsbereich, in Knyrim [Hrsg.], DS-GVO [2016] 401 [411]; Divjak, Die Durchsetzung von Datenschutzrechten im Ermittlungsverfahren, JBl 2022, 489 [492]). Es wäre daher unionsrechtlich nicht zulässig, Datenverarbeitungen durch Staatsanwaltschaften von der Zuständigkeit der Aufsichtsbehörde auszunehmen.

7. Auch aus den dargestellten Regelungen im GOG, im StAG und in der StPO bzw. den Erläuterungen dazu ergibt sich (aus folgenden Überlegungen) kein impliziter Ausschluss der Zuständigkeit der DSB hinsichtlich der Überprüfung von Datenverarbeitungen durch Staatsanwaltschaften: Der EuGH hat in seinem Urteil vom 12. Jänner 2023, C-132/21, BE, zu den (abgesehen vom Umsetzungserfordernis mit den hier maßgeblichen Bestimmungen der DSRL inhaltlich vergleichbaren) Art. 77 bis 79 DSGVO festgehalten, jeder der vorgesehenen Rechtsbehelfe (Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO einerseits sowie Recht auf einen wirksamen gerichtlichen Rechtsbehelf gemäß Art. 79 DSGVO andererseits) müsse unbeschadet des jeweils anderen Rechtsbehelfes zur Verfügung stehen (Rn. 34). Die Rechtsbehelfe können nebeneinander und unabhängig voneinander eingelegt werden; die DSGVO sehe weder eine vorrangige oder ausschließliche Zuständigkeit noch einen Vorrang der Beurteilung der Aufsichtsbehörde oder des Gerichtes vor (Rn. 35). Da nach der Rechtsprechung des EuGH die beiden Rechtsbehelfe somit nebeneinander vorzusehen sind, können die (hier auf Art. 54 DSRL beruhenden) Regelungen über gerichtliche Rechtsbehelfe nicht dazu führen, dass dadurch die (daneben vorzusehende) Aufgabe der Aufsichtsbehörde, Beschwerden betroffener Personen zu behandeln, hinsichtlich der Datenverarbeitungen durch Staatsanwaltschaften ausgeschlossen wäre.

8. Es ist letztlich auch nicht davon auszugehen, dass die nach dem GOG bzw. dem StAG zur Entscheidung über Beschwerden gegen staatsanwaltschaftliches Handeln berufenen Gerichte als (weitere) Aufsichtsbehörden gemäß der DSRL zu qualifizieren seien. Zwar ermöglicht Art. 41 Abs. 1 DSRL grundsätzlich die Einrichtung mehrerer Aufsichtsbehörden. Wie sich den Erläuterungen zum DSG (AB 1761 BlgNR 25. GP 11) ausdrücklich entnehmen lässt, wurde die (für den Anwendungsbereich der DSRL für zuständig erklärte) DSB aber als „einzige nationale Aufsichtsbehörde“ festgelegt. Zudem würde die Einrichtung mehrerer Aufsichtsbehörden gemäß Art. 41 Abs. 4 DSRL eine Festlegung dazu erfordern, welche Aufsichtsbehörde zur Vertretung im Europäischen Datenschutzausschuss (gemäß Art. 68 DSGVO) zuständig ist, und müssten einer Aufsichtsbehörde sämtliche in Art. 46 Abs. 1 DSRL genannten (zum Teil amtswegig wahrzunehmenden) Aufgaben übertragen werden. Das Fehlen derartiger Regelungen spricht daher ebenfalls gegen die Annahme, es seien - entgegen der Anordnung des DSG und ungeachtet des Fehlens einer ausdrücklichen Normierung im GOG, im StAG oder in der StPO - mehrere Aufsichtsbehörden gemäß der DSRL eingerichtet worden.

9. Der Verwaltungsgerichtshof bzw. das Bundesverwaltungsgericht erachtet es daher als nicht möglich, die Regelungen über die Zuständigkeit der DSB im DSG im Hinblick auf die im GOG in Verbindung mit dem StAG enthaltenen Regelungen über gerichtliche Rechtsbehelfe insoweit einschränkend auszulegen, als die Kontrolle der Datenverarbeitungen durch Staatsanwaltschaften von dieser Zuständigkeit ausgenommen wäre.

VI. Darlegung der Bedenken:

1. Der Verwaltungsgerichtshof bzw. das Bundesverwaltungsgericht hat allerdings Bedenken hinsichtlich der Verfassungskonformität einer derartigen Zuständigkeit.

2. Im Hinblick auf die parallele Zuständigkeit sowohl der Gerichte als auch der DSB können Bedenken bezüglich des Rechts auf den gesetzlichen Richter gemäß Art. 83 Abs. 2 B-VG geäußert werden. Diesbezüglich ist zunächst auf die Rechtsprechung des Verfassungsgerichtshofes zu verweisen, der zufolge der Grundsatz der Trennung der Justiz von der Verwaltung gemäß Art. 94 B-VG es gebietet, eine Angelegenheit zur Vollziehung entweder den Gerichten oder den Verwaltungsbehörden zuzuweisen, bzw. dass Gerichte und Verwaltungsbehörden nicht über dieselbe Rechtssache entscheiden dürfen. (vgl. etwa VfGH 12.3.2019, G 190/2018, Rn. 111 f). Den Umstand, dass die (dort) Regulierungsbehörde und das ordentliche Gericht teilweise über dieselben abstrakten Rechtsfragen entscheiden, hat der Verfassungsgerichtshof im Hinblick darauf, dass sie nicht über dieselbe Rechtssache entscheiden, aber nicht aufgegriffen und vielmehr festgehalten, ein solches Nebeneinander sei für sich genommen aus verfassungsrechtlicher Sicht nicht zu beanstanden (Rn. 121; vgl. zum Verbot von Parallelzuständigkeiten im Zusammenhang mit der Zuständigkeit der DSB und der ordentlichen Gerichte in datenschutzrechtlichen Angelegenheiten auch OGH 23.5.2019, 6 Ob 91/19d, Pkt. 4.7. ff).

3. Diesen Bedenken lässt sich zwar entgegenhalten, dass nach der DSRL zum einen ein Recht auf einen wirksamen gerichtlichen Rechtsbehelf vorzusehen und zum anderen daneben und somit unabhängig davon eine (oder mehrere) Aufsichtsbehörde(n) einzurichten ist (sind) und dieser (diesen) ua. die hier wahrgenommene Aufgabe der Behandlung von Beschwerden zuzuweisen ist (vgl. die Art. 41, 46 und 54 DSRL; vgl. zur Parallelität der - inhaltlich insoweit vergleichbaren - Rechtsbehelfe nach der DSGVO erneut EuGH 12.1.2023, C-132/21, BE, Rn. 34). Aus unionsrechtlicher Sicht besteht insoweit kein Spielraum dahingehend, auf Grund der Einräumung eines gerichtlichen Rechtsbehelfs von der Einrichtung einer Aufsichtsbehörde und einer Zuweisung der in der DSRL vorgesehenen Aufgaben an diese zur Gänze Abstand zu nehmen. Der Verwaltungsgerichtshof hat auch bereits wiederholt darauf verwiesen, dass die Geltung des Unionsrechts durch einen Mitgliedstaat nicht durch Vorschriften des nationalen Rechts, auch wenn diese Verfassungsrang haben, beeinträchtigt werden kann (vgl. VwGH 10.10.2018, Ra 2017/03/0108, Rn. 21, mwN; vgl. weiters EuGH 22.2.2022, C-430/21, RS, Rn. 39, 51; 26.2.2013, C-399/11, Melloni, Rn. 60).

4. Allerdings stellt sich die Frage, ob im Fall einer (hinsichtlich der Einrichtung einer Aufsichtsbehörde dem Grunde nach) vollständigen Determinierung der innerstaatlichen Umsetzungsregelung durch die DSRL die Umsetzung diesfalls nicht im Verfassungsrang zu erfolgen hätte und die angefochtenen Regelungen vor diesem Hintergrund als verfassungswidrig anzusehen wären (vgl. zu diesem Lösungsansatz Holoubek, Doppelte Bindung und Richtlinienumsetzung, ZÖR 2018, 603 [605 f]).

5. Mehr noch als hinsichtlich der soeben angesprochenen potentiell unzulässigen parallelen Zuständigkeit hegt der Verwaltungsgerichtshof bzw. das Bundesverwaltungsgericht aber im Hinblick auf die Kontrolle der Staatsanwaltschaft durch die DSB und somit eine Verwaltungsbehörde Bedenken hinsichtlich des Trennungsgrundsatzes gemäß Art. 94 B-VG.

6. Der mit BGBl. I Nr. 2/2008 eingefügte Art. 90a erster Satz B-VG sieht vor, dass Staatsanwälte Organe der (nunmehr: ordentlichen) Gerichtsbarkeit sind. Art. 94 Abs. 1 B-VG bestimmt wiederum, dass die Justiz von der Verwaltung in allen Instanzen getrennt ist. Welche Auswirkungen Art. 90a B-VG auf die Zuordnung der Staatsanwaltschaften in Art. 94 B-VG haben sollte, lässt sich den Erläuterungen (AB 370 BlgNR 23. GP 4 f) nicht entnehmen. In der Lehre ist diese Frage umstritten (für die Annahme, dass auf Grund des Art. 90a B-VG die Staatsanwälte im Rahmen des Art. 94 Abs. 1 B-VG nunmehr der Justiz zuzuordnen seien, vgl. etwa Wiederin, Staatsanwaltschaft und Bundesverfassung, in ÖJK [Hrsg.] Strafverfolgung auf dem Prüfstand [2011], 33, 39; Faber, Staatsanwälte als Organe der Gerichtsbarkeit - alles beim Alten?, JöR 2009, 125, 137 f; Khakzadeh-Leiler, Art. 94 B-VG, in Kneihs/Lienbacher [Hrsg.], Bundesverfassungsrecht [2013], Rn. 20; Divjak, aaO, 493; sowie - ausdrücklich auch zur Kontrolle in datenschutzrechtlichen Angelegenheiten - Burgstaller in Korinek/Holoubek [Hrsg.], B-VG [2009], Art. 90a Rn. 21; gegen eine derartige Annahme vgl. Zellenberg, Die Stellung der Staatsanwälte im System der Trennung von Justiz und Verwaltung, ZfV 2015, 348, 354 ff; Heißl/Lehner, Staatsanwälte in der Verfassung, ZfV 2009, 191, 193; sowie - ausdrücklich auch zur Kontrolle in datenschutzrechtlichen Angelegenheiten - Rill, Art. 90a B-VG, in Kneihs/Lienbacher [Hrsg.], Bundesverfassungsrecht [2010], Rz. 16; dazu, dass es zweifelhaft sei, ob Art. 94 B-VG auf das Verhältnis von Staatsanwaltschaften und Verwaltungsbehörden anzuwenden sei, vgl. Thienel, Die Stellung der Staatsanwälte nach Art 90a B-VG - eine Zwischenbilanz, in GS Walter [2013], 819, 838).

7. Auch wenn die insbesondere von Zellenberg gegen eine Gleichsetzung von Gerichtsbarkeit und Justiz ins Treffen geführten Argumente durchaus beachtlich sind, erscheint es nach Ansicht des Verwaltungsgerichtshofes letztlich nicht überzeugend, die Staatsanwälte bzw. Staatsanwaltschaften zwar gemäß Art. 90a B-VG als Organe der (ordentlichen) Gerichtsbarkeit - und somit in einem Umkehrschluss gerade nicht als Organe der Verwaltung - anzusehen, sie aber im Anwendungsbereich des Art. 94 Abs. 1 B-VG dessen ungeachtet der Verwaltung zuzuordnen. In Ermangelung gegenteiliger Hinweise ist davon auszugehen, dass das Handeln der Staatsanwaltschaften als Organe der Gerichtsbarkeit auch im funktionellen Sinn Gerichtsbarkeit darstellt (vgl. allgemein dazu Faber, aaO, 139). Zwar geht der Verwaltungsgerichtshof davon aus, dass auch Staatsanwälte Justizverwaltung führen können (vgl. näher dazu Faber, aaO, 139), allerdings erfolgte die hier gegenständliche Datenverarbeitung im Zuge eines Ermittlungsverfahrens und ist daher - in Ermangelung gegenteiliger Hinweise - in funktioneller Hinsicht als Akt der Gerichtsbarkeit bzw. der Justiz anzusehen.

8. Hinzuweisen ist in diesem Zusammenhang zudem auf das Erkenntnis VfGH 16.12.2010, G 259/09 ua., Pkt. II.2.5.2. Der Verfassungsgerichtshof hat darin zunächst festgehalten, dass Ausnahmen vom Grundsatz der Trennung der Justiz von der Verwaltung einer ausdrücklichen verfassungsgesetzlichen Regelung bedürfen. Angesichts des Fehlens einer derartigen Grundlage erachtete der Verfassungsgerichtshof die Vorschrift des (damaligen) § 106 Abs. 1 StPO über das gerichtliche Einspruchsrecht gegen kriminalpolizeiliche Zwangsakte, die zwar im Dienst der Strafjustiz, aber ohne gerichtliche bzw. staatsanwaltschaftliche Anordnung vorgenommen worden seien, als mit dem Trennungsgrundsatz des Art. 94 B-VG unvereinbar. Dies könnte in einem Umkehrschluss darauf hindeuten, dass kriminalpolizeiliche Akte auf Grund einer staatsanwaltlichen Anordnung - und dies würde dann wohl umso mehr für staatsanwaltschaftliches Handeln selbst gelten - durch Gerichte kontrolliert werden könnten und somit im Rahmen des Art. 94 Abs. 1 B-VG der Justiz zuzurechnen wären.

9. Nach Ansicht des Verwaltungsgerichtshofes bzw. des Bundesverwaltungsgerichtes sprechen somit die besseren Gründe für die Annahme, dass die Staatsanwälte bzw. ihre Tätigkeit seit Einfügung des Art. 90a B-VG im Rahmen des Art. 94 Abs. 1 B-VG nicht mehr der Verwaltung, sondern der Justiz zuzurechnen sind.

10. Dem in Art. 94 Abs. 1 B-VG normierten Trennungsgrundsatz werden eine Reihe von Inhalten entnommen, wie das Verbot von Mischbehörden oder Parallelzuständigkeiten sowie der Ausschluss von wechselseitigen Instanzenzügen oder Weisungen bzw. Anordnungen (vgl. etwa Khakzadeh-Leiler, aaO, Rn. 22 ff; Muzak, B-VG6 [2020], Art. 94 B-VG II.). Der DSB kommt als Aufsichtsbehörde gemäß § 32 DSG ua. die Aufgabe zu, die Anwendung der einschlägigen datenschutzrechtlichen Vorschriften zu überwachen und durchzusetzen sowie Beschwerden betroffener Personen zu behandeln. Im Zuge dessen hat die DSB gemäß § 33 DSG etwa die Befugnis, die Löschung von Daten anzuordnen oder ein Verbot bestimmter Verarbeitungen zu verhängen bzw. - in Verfahren auf Grund einer Datenschutzbeschwerde - eine Rechtsverletzung festzustellen. Nach Ansicht des Verwaltungsgerichtshofes sind dies Aufgaben bzw. Rechtszüge, die vom Inhalt des Art. 94 Abs. 1 B-VG erfasst und somit im Verhältnis zwischen Justiz und Verwaltung unzulässig sind. Daran vermag der Umstand, dass die in Art. 90a dritter Satz B-VG zugrunde gelegte Bindung der Staatsanwälte an die Weisungen der ihnen vorgesetzten Organe den Grundsatz der Trennung der Justiz von der Verwaltung in gewisser Hinsicht durchbricht (vgl. Muzak, B-VG6 [2020], Art. 90a B-VG I.), nichts zu ändern, weil die DSB (abgesehen davon, dass sich ihre Befugnisse nicht auf die Erteilung von Anordnungen beschränken) kein vorgesetztes Organ ist.

11. Der vom Verwaltungsgerichtshof bzw. Bundesverwaltungsgericht angenommenen Verfassungswidrigkeit der Zuständigkeit der DSB hinsichtlich der Kontrolle der Staatsanwaltschaften kann auch nicht die Verpflichtung zur Umsetzung von Unionsrecht - konkret der DSRL - entgegengehalten werden. Wie bereits dargelegt, ermöglicht die DSRL ausdrücklich die Einrichtung mehrerer Aufsichtsbehörden (und nimmt diesbezüglich im Erwägungsgrund 77 auf verfassungsmäßige oder organisatorische Erfordernisse der Mitgliedstaaten Bezug). Insoweit besteht (anders als hinsichtlich der Einrichtung einer Aufsichtsbehörde dem Grunde nach) ein Spielraum und es könnte eine sowohl unionsrechts- als auch verfassungskonforme Ersatzregelung geschaffen (und etwa innerhalb der Staatsanwaltschaft eine eigene Aufsichtsbehörde eingerichtet) werden (anderer Ansicht hingegen Divjak, aaO, 495; vgl. zu Konstellationen, in denen das Handeln der Mitgliedstaaten nicht vollständig durch das Unionsrecht bestimmt wird, EuGH 29.7.2019, C-516/17, Spiegel Online, Rn. 21, mwN). Die gesetzliche Anordnung, die DSB als Aufsichtsbehörde auch für die Kontrolle der Staatsanwälte vorzusehen, ist somit nach Ansicht des Verwaltungsgerichtshofes bzw. Bundesverwaltungsgerichtes unionsrechtlich nicht zwingend vorgegeben, weshalb sie der Kontrolle durch den Verfassungsgerichtshof unterliegt; die Umsetzung des Unionsrechts wird durch die Vorgaben des Art. 94 B-VG nicht inhibiert (vgl. zur doppelten Bindung VfGH 14.12.2022, G 287-288/2022, Rn. 51 ff, sowie Holoubek, aaO, 606 f; der vorliegende Fall ist somit nicht mit der dem Erkenntnis VfGH 05.12.2008, G 113/08, VfSlg. 18.642/2011, zugrundeliegenden Konstellation vergleichbar).

12. Ausgehend davon stellt auch das Bundesverwaltungsgericht die eingangs formulierten Anträge.